SP Project & Document Manager <= 4.71 - Insecure Direct Object Reference

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia de objeto directo inseguro (IDOR) en el plugin SP Project & Document Manager, que afecta a las versiones anteriores a la 4.71. Esta vulnerabilidad puede ser explotada por un atacante para acceder a documentos y proyectos de forma no autorizada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados para la validación de acceso a recursos, permitiendo que un atacante manipule las solicitudes para acceder a objetos que no debería. Esto se considera un fallo de IDOR, donde los identificadores de recursos no están protegidos adecuadamente.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que puede permitir el acceso no autorizado a información sensible almacenada en el plugin, comprometiendo la confidencialidad de los datos y la integridad del sistema. Esto puede resultar en daños a la reputación de la empresa y posibles repercusiones legales.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad manipulando las solicitudes HTTP para acceder a documentos o proyectos que pertenecen a otros usuarios, sin tener los permisos adecuados.

Mitigación recomendada

Se recomienda actualizar el plugin SP Project & Document Manager a la versión 4.71 o superior. Además, se sugiere implementar controles de acceso más estrictos y realizar auditorías de seguridad periódicas para identificar posibles vulnerabilidades similares.

Señales de detección

Señales que podrían indicar un intento de explotación incluyen un aumento en las solicitudes HTTP inusuales hacia el plugin, así como accesos no autorizados a documentos que deberían estar restringidos.

Alcance afectado

Las versiones del plugin SP Project & Document Manager anteriores a la 4.71 son las que se ven afectadas por esta vulnerabilidad. Las instalaciones que utilicen estas versiones están en riesgo.